[wiregate] - √ - Probleme Zeitabgleich mit NTP Server

[anlo007]

Hallo Makki,

wie im anderen Bereich bereits beschrieben, habe ich ständig Probleme mit der Uhrzeit. Inzwischen habe ich einen anderen USB-Stick (von Telekom) und die Internetverbindung hat sich verbessert.

Beim EibPC lasse ich die Uhrzeit immer beim wiregate abholen, da dieser kontiniuerlich durchläuft. Inzwischen hat das wiregate aber eine Abweichung von 7 Minuten erreicht. Deshalb habe ich mir die Seite vom NTP Server angesehen, und wollte noch 2 andere Server (aus Forum-Liste) dort eintragen. Wenn ich auf speichern drücke kommt eine Fehlermeldung. Selbst wenn ich dann wieder die alten Adressen einsetze, kommt diese Fehlermeldung.

screenshots der beiden Seiten sind hier:
Woran kann das liegen?

[makki]

Klingt nach einem Problem mit dem DNS.. Was sagen denn die Internet&DNS-Ampeln auf der Startseite?

Makki

[anlo007]

Was sagen denn die Internet&DNS-Ampeln auf der Startseite?

Makki

Hab da keine, siehe screenshots
alle anderen Ampeln sich grün.

[makki]

Ok, beim dritten Screenshot, links unten, da sollten mind. 1-2 funktionierende DNS-Server rein

Gewöhlich, im Falle von Fritzbox, die IP dieser bzw. das was auf einem anderen Rechner per DHCP zugweiesen wird ("ipconfig /all")

Bei NTP am besten die Pool-Server drinlassen, dann muss man da auch nichts drehen wenn sich mal einer ändert..
(Die Forums-Liste gibts ja nur wegen dem HS..)

Makki

[anlo007]

Danke Makki, jetzt gehts.

[makki]

Dann passts ja..

Im letzten Update gibts auf der Startseite genau dafür die "Internet&DNS"-Ampel,damit man sowas schneller erkennt, wenn da irgendwas (IP,Gateway,DNS) nicht stimmt..

Makki

[emax]

Ich buddel das hier mal wieder aus.

Seit gestern hab ich mein Wiregate. Die Konfiguration per webmin ist einfach, sehr schön. Aber NTP zickt rum, seit 8 Stunden stehen alle Einträge auf .INIT., auch zu sehen auf der shell mit ntpq -p

Meine DNS Dienste werden von einem WRT54GS als Router hier im Haus zur Verfügung gestellt, außerdem läuft darauf auch eine SPI Firewall.

• Thema DNS: Alle Rechner kommen damit klar, die Windows Büchse meines Sohnes, die Dreambox, die dbox2-Kisten, meine Linux-Rechner.
  
  ping 0.debian.pool.ntp.org
  
  ergibt vernünftige Antworten auf dem Wiregate:
  

  [FONT="Courier New"]64 bytes from box73106.elkhouse.de (213.9.73.106): icmp_seq=1 ttl=55 time=27.3 ms
  64 bytes from box73106.elkhouse.de (213.9.73.106): icmp_seq=2 ttl=55 time=26.9 ms
  64 bytes from box73106.elkhouse.de (213.9.73.106): icmp_seq=3 ttl=55 time=26.8 ms
  [/FONT]

  usw., DNS schließe ich also mal aus.
  
  
• SPI-Firewall: Ist eben eine SPI, sollte m.E. gehen. Wenn ich diese im WRT54GS (DD_WRT) abschalte, ändert sich das alles auch nicht, auch nicht nach /etc/initd/ntp restart auf dem WG.
  
  
• Die Konfiguration in der /etc/init.d/ntp enthielt einen Eintrag 'restrict ::1' über den es im Log regelmäßig Gemecker gab
  

  syslog.1:Jul  6 01:48:15 wiregatexxx ntpd[5913]: getaddrinfo: "::1" invalid host

  (der aber am NTP INIT Zustand auch nicht geändert hatte), diese Zeile habe ich deshalb rausgenommen, s.a.
  https://bugzilla.redhat.com/show_bug.cgi?id=436713
  
  
• Wird der ntpd gestoppt, erhalte ich bei div. Tests folgende Ausgaben:
  

  root@wiregatexxx:/etc# [B]/etc/init.d/ntp stop[/B]
  Stopping NTP server: ntpd.
  root@wiregatexxx:/etc# [B]ntpdate 0.debian.pool.ntp.org[/B]
   8 Jul 11:32:24 ntpdate[15730]: [COLOR="Red"]no server suitable for synchronization found[/COLOR]
  root@wiregatexxx:/etc# [B]ntpdate [COLOR="Red"]-u[/COLOR]  0.debian.pool.ntp.org[/B]
   8 Jul 11:32:26 ntpdate[15734]: [COLOR="SeaGreen"]step time server 131.234.137.24 offset -5.248949 sec[/COLOR]
  root@wiregatexxx:/etc# [B]/etc/init.d/ntp start[/B]
  Starting NTP server: ntpd.
  root@wiregatexxx:/etc# [B]ntpq -p[/B]
       remote           refid      st t when poll reach   delay   offset  jitter
  ==============================================================================
   ntp.rack66.net  .INIT.          16 u    -   64    0    0.000    0.000   0.000
   groggy.our-isp. .INIT.          16 u    -   64    0    0.000    0.000   0.000
   ntp.itarium.ch  .INIT.          16 u    -   64    0    0.000    0.000   0.000
   dnscache-frankf .INIT.          16 u    -   64    0    0.000    0.000   0.000
   nathan.66h.42h. .INIT.          16 u    -   64    0    0.000    0.000   0.000
   zirka.vc.ukrtel .INIT.          16 u    -   64    0    0.000    0.000   0.000
   ns2.infomir.com .INIT.          16 u    -   64    0    0.000    0.000   0.000
   aliena.tfgserve .INIT.          16 u    -   64    0    0.000    0.000   0.000
  root@wiregatexxx:/etc#

  was darauf schließen lässt, dass es vielleicht an den Ports liegt - was dann wieder auf die Firewall zeigen würde.

Ich bin ratlos.


PS: Nachtrag. Das Problem besteht so auch auf meinem Linux-Laptop, wie ich soeben mit Erschrecken feststelle. Nur wird dessen Uhr immer wenn ich damit beim Kunden bin, wieder richtig gestellt, so das ich das bis heute nicht gemerkt habe. Also Freipruch für das Wiregate.

Tipps wären trotzdem hilfreich.

[makki]

Defaulteinstellungen auf dem Router wär evtl. ein Anfang, alles raus, nichts rein, mit FW-Regeln kann man sich schnell was verschlimmbessern..
Suche nach irgendwas mit Port 123/UDP in den Regeln, raus damit, brauchts nicht; ansonsten müsste man die Regeln sehen..

Makki

[emax]

Eigene FW Regeln sind da nicht drin, aber ich schau mal rein. Nur: Es ist eine SPI Firewall, die ja die Pakete inspiziert und im Prinzip erst mal alles nach draußen lässt, und auch alles wieder rein lässt was als Antwort identifiziert werden kann. Und abschalten sollte ja ohnehin solche Probleme lösen, hat aber nichts gebracht ...

Jetzt muss ich nur mal rausfinden, wo ich auf dem Router welche Regeln finde.

[makki]

Hab das grad nochmal gelesen, ntpdate -u benutzt einen unpriv. Source-Port (was der ntpd nicht macht), vermutlich eine ungeschickte paranoia-Regel aus dem letzten Jahrtausend, die die Worte 0:1023 enthält (kann ja auch default sein, je nachdem wie paranio der Ersteller war )

Makki

[emax]

Ja ich weiß, deshalb hatte ich das oben ja genau so ausprobiert, und daraus geschlussfolgert, dass das auf ein Port-Problem und damit die Firewall hinweist.

Ich habe jetzt ein paar Stunden investiert und komm nicht weiter. Auf dem Router sieht man nix an Regeln. Da steht die gesamte Konfiguration übersichtlich im NVRAM, und das hab ich ausgelesen: Nichts zu finden.

Ich werde mir am besten wohl eine ntpdate/cron Lösung basteln.

[makki]

Ich werde mir am besten wohl eine ntpdate/cron Lösung basteln.

Das ist - mit Verlaub - immer totaler Kernschrott* Uhren "gerade zu reissen", insbesondere wenn man sich gerade mit Zeitschaltuhren beschäftigt, da merkt man die unangenehmen Nebenwirkung am schnellsten
siehe hier, der IMHO einzig saubere workaround wäre ein lokaler ntpd auf dem Router.
Der NTP muss - genauso wie alles andere (DNS direkt dürfte auch nicht gehen vermute ich!) gehen, sonst ist was grobes faul und das wird sicher nicht das einzige sein, wo das - WG unabhängig - Probleme machen wird..
Jeglicher mir bekannter FW/Router macht das richtig, im Zweifel kann man sich von so einem 30-EUR Teil dann auch mal am Wertstoffhof trennen, statt monatelang Probleme zu haben (Original-Image oder *WRT?)

Makki

*) (C) by meudenbach, das hab ich oft zu hören bekommen, wenn ich zu meinen Anfangszeiten ganz obskure Ideen zu Multiroom oder GA/HA hatte

[emax]

Ich hab mal geschaut, und auf dem Router einen Firewall-Logger gefunden, hier die Ergebnisse.

Im Log sieht man, dass 192.168.22.240 sich die Uhrzeit holen kann.
Dabei handelt es sich um einen managed switch. Der Unterschied zwischen Switch, Laptop und Wirgate ist, dass der Switch direkt am Router hängt, aber Laptop und Wiregate durch den Switch durch müssen:


DSL --> Router --> HP-Switch
... HP-Switch --->Laptop
... HP-Switch --->Wiregate


Bis zum Switch geht das also, dahinter nicht mehr, das riecht doch schon mal nach irgendwelchen Gemeinheiten. Also hab ich den Switch mal eben ausgetauscht, und durch einen kleinen 'dummen' DLink-Switch ersetzt.

Und siehe da ES GEHT! Dieser bekackte HP-Switch, wer glaubt den an so was?

Kurzum: Es ist weder der Router noch das Wiregate. Jetzt muss ich mal gucken, warum der Switch so rumzickt, eine Firewall gibts da drin nicht, nur DoS Protection und solche Sochen. Vielleicht ist er zu blöd, um einzusehen, dass auch noch andere Geräte im LAn gerne wüsssten, wie spät es ist.

Das Wiregate ist also unschuldig. :-) Und mein Router auch. Ist übrigens DD-WRT, was bis heute sehr zuverlässig alles gemacht hat, was es soll ...

Mann Mann Mann, 10 Stunden hat mich das gekostet ...

[emax]

So, jetzt hab ich's im Griff. Im Switch hab ich mal die DoS Protection abgeschaltet. Ich weiß nicht, ob es das wirklich war, aber jetzt geht es, und DoS Attacken kann hier im Haus außer mir sowieso niemand ... ;-)

Vielleicht hilft das dem ein oder anderen ja auch mal, obwohl es privat sicher nicht sehr viele Installationen mit solchen Switches gibt.

[emax]

Das ist - mit Verlaub - immer totaler Kernschrott* Uhren "gerade zu reissen",

Ich schäm mich ja auch schon , aber Ende gut, alles gut.


Morgen schliesse ich das Wiregate an den Bus an ...